Conformidade regulatória simplificada

Várias leis e regulamentações consideram o backup, a Recovery e a resiliência como partes essenciais de um bom programa de segurança cibernética. Entre elas estão o Regulamento Geral sobre a Proteção de Dados (RGPD), a Lei de Portabilidade e Responsabilidade do Seguro Saúde (HIPAA), as Normas de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), a Diretiva sobre Redes e Sistemas de Informação 2 (NIS2), a Lei de Segurança Cibernética de Nova York (NYCRR 500), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e a Lei de Resiliência Operacional Digital (DORA). Recomendamos consultar suas equipes jurídicas e de conformidade para determinar quais dessas regulamentações se aplicam à sua empresa.

Algumas regulamentações bem conhecidas incluem o Regulamento Geral sobre a Proteção de Dados (GDPR), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e a Lei de Portabilidade e Responsabilidade em Saúde (HIPAA).

Toda organização deve consultar advogados e auditores sobre regulamentações específicas. Ainda assim, um bom ponto de partida para um programa seria realizar avaliações e auditorias regulares das práticas de proteção de dados, implementar e monitorar controles de segurança e contar com a ajuda de profissionais de TI e segurança (sejam eles funcionários ou prestadores de serviços) para validar se as medidas de segurança estão sendo aplicadas e funcionando adequadamente. Também é recomendável uma abordagem baseada em riscos, na qual as organizações avaliem os requisitos regulatórios e o possível risco de perda em caso de violação ou não conformidade, em relação ao esforço necessário para implementar os controles.

A Lei de Resiliência Operacional Digital, ou DORA, é um regulamento da União Europeia voltado para bancos e entidades financeiras e foi promulgada para ajudar a estabelecer padrões de segurança cibernética e resiliência cibernética. Observamos que muitas equipes de conformidade utilizam a DORA como orientação, independentemente do setor, mas consulte suas equipes jurídica e de conformidade para obter orientações adequadas para sua organização.

Comece por compreender os tipos de dados e riscos dentro da sua organização, prestando atenção especial aos dados confidenciais e regulamentados. Em seguida, você pode definir objetivos de segurança claros e mensuráveis que ajudem a mitigar e minimizar esses riscos. A partir daí, você pode desenvolver e aplicar políticas de governança de dados relacionadas à propriedade, ao manuseio e ao ciclo de vida dos dados. Isso pode incluir aspectos como controles de acesso para pessoas ou grupos, como os dados são protegidos, compartilhados e armazenados em backup, e como descartá-los quando não forem mais relevantes ou necessários.

E-discovery é a identificação, preservação, coleta, processamento, revisão e apresentação de informações armazenadas eletronicamente (ESI) em resposta a litígios, investigações ou outras solicitações legais. Envolve a busca, análise e extração de dados relevantes de fontes de dados ativas e de backup, além do controle desses dados para impedir que sejam alterados ou excluídos.